利用钩子机制取得Windows的消息监控权 收藏
| 利用钩子机制取得Windows的消息监控权 |
| 我们知道，Windows系统是建立在消息传递机制基础上的，几乎所有的程序活动都由消息来驱动。Windows的钩子机制可以看作是一个消息中转站，控制系统发出消息的处理和传递，利用钩子，我们可以截获系统发给应用程序的消息，经过处理后决定是否将消息再发给下一个应用程序。 利用钩子的这一特性，我们可以创建一个监控程序，用来收集和控制系统发出的消息。
■编制Windows钩子程序
■编制Windows钩子程序
编制Windows的钩子程序，需要用到几个SDK中的API函数。下面列出这几个函数的原型及说明： HHOOK SetWindowsHookEx( int idHook,HOOK_PROC lpfn,HINSTANCE hMod,DWORD dwThreadID); 参数说明如下： idHook：钩子的类型 lpfn：钩子处理函数地址 hMod：包含钩子函数的模块句柄 dwThreadID：钩子的监控线程 函数说明：函数将在系统中挂上一个由idHook指定类型的钩子，监控并处理相应的特定消息。 BOOL UnhookWindowsHookEx(HHOOK hhk); 函数说明：函数将撤销由hhk指定的钩子。 LRESULT CallNextHookEx( HHOOK hhk, int nCode,WPARAM wParam,LPARAM lParam ); 函数说明：函数将消息向下传递，下一个钩子处理将截获这一消息。 由于钩子的处理涉及到模块及进程间的数据地址问题，一般情况是把钩子整合到一个动态链接库（DLL）中，并设立一个全局数据共享数据段，以存贮一些全局变量，保留上次钩子消息事件发生时的状态。全局共享数据段可以用如下的格式定义： #pragma data_seg("PublicData") HHOOK hhook=NULL; //全局共享数据 #pragma data_seg() 本文的范例程序演示了如何编制一个鼠标钩子（WH_MOUSE）程序,其它类型的钩子程序的编写过程与范例程序类似。
■范例程序的建立与代码分析
■范例程序的建立与代码分析
建立钩子程序时需要把钩子处理整合到动态链接库中，所以例程中需要建立两个Project。 1.建立钩子处理动态链接库 （1） 选择MFC AppWizard(DLL)创建一个新Project，命名为“Spy”。 （2） 选择MFC Extension DLL类型。 （3）创建一个新的头文件，命名为“Hook.h”，修改它的代码如下： extern "C" LRESULT CALLBACK MouseProc(int code, WPARAM wParam,LPARAM lParam); //钩子处理函数 extern "C" BOOL WINAPI StartHook(); //启动钩子函数 extern "C" BOOL WINAPI StopHook(); //撤销钩子函数 extern "C" int WINAPI GetResult(); //取得鼠标单击次数的函数 （4）修改Spy.cpp程序代码如下: #include "stdafx.h" #include 〈afxdllx.h〉 #include "spyhook.h" …… //省略部分机器生成代码 #pragma data_seg("PublicData") //定义全局数据段 HHOOK hhook=NULL; //钩子句柄 HINSTANCE pInstance=NULL; //钩子模块句柄 UINT MouseClick=0; //记录鼠标单击次数的变量 #pragma data_seg() …… //省略部分机器生成代码 extern "C" int APIENTRY DllMain(HINSTANCE hInstance, DWORD dwReason, LPVOID lpReserved) { if (dwReason = = DLL_PROCESS_ATTACH) {…… //省略部分机器生成代码 new CDynLinkLibrary(SpyDLL); pInstance=hInstance; //取得模块句柄 } else if (dwReason = = DLL_PROCESS_DETACH) { TRACE0("SPY.DLL Terminating!/n"); AfxTermExtensionModule(SpyDLL); } return 1; } extern "C" LRESULT CALLBACK MouseProc(int code,WPARAM wParam,LPARAM lParam) //钩子处理函数 { if (code 〈 0) //若code〈0，则直接调用CallNextHookEx返回 return CallNextHookEx(hhook, code, wParam, lParam); if(wParam= =WM_LBUTTONDOWN) {MouseClick++; //记录鼠标单击次数 } return CallNextHookEx(hhook, code, wParam,lParam); } extern "C" BOOL WINAPI StartHook() //启动钩子函数 { hhook=SetWindowsHookEx(WH_MOUSE,MouseProc,pInstance,0); //挂上钩子 if(hhook!=NULL) return TRUE; else return FALSE; } extern "C" BOOL WINAPI StopHook() //撤销钩子函数 { return UnhookWindowsHookEx(hhook); //撤销钩子 } extern "C" int WINAPI GetResult() //返回鼠标单击次数 { return MouseClick; } （5）修改Spy.def程序代码如下: LIBRARY "SPY" DESCRIPTION 'SPY Windows Dynamic Link Library' EXPORTS StartHookb @1 StopHook @2 GetResult @3 （6）编译Project，生成Spy.dll文件和Spy.Lib文件。 2.建立使用钩子的应用程序 （1） 生成一个单文档的可执行文件（EXE）的Project。 （2） 修改资源中的主选单，增加一个选单项“监控”，下有三个子选单项，分别为“启动”、“撤销”和“取出”。 （3） 在Project中加入Spy.Lib文件和Hook.h文件。 （4） 分别修改“启动”、“撤销”和“取出”选单项的Command响应函数如下： #include "hook.h" ……//省略部分机器生成代码 void CMainFrame::OnStartSpy() //“启动”选单项的响应函数 { StartHook(); } void CMainFrame::OnReleaseSpy() //“撤销”选单项的响应函数 { StopHook(); } void CMainFrame::OnGet() //“取出”选单项的响应函数 { int Result=GetResult(); char buffer[40]; wsprintf(buffer,"在程序运行期间，你共单击鼠标%d次",Result); ::MessageBox(this-〉m_hWnd,buffer,"Message",MB_OK); } 编译这个Project，并把Spy.dll放到生成的可执行文件目录下，便可运行程序。 运行时，选择“监控”选单中的“启动”选单项，钩子便开始工作，监视鼠标的活动情况；选择“撤销”选单项，系统便撤销钩子；选择“取出”选单项，程序便报告在监控期间，用户单击鼠标左键的次数。 以上程序在Windows 98，Visual C++ 4.0环境下成功运行。
怎样让自己的程序进程不让别人强行关闭掉 收藏怎样让自己的程序进程不让别人强行关闭掉 完整源代码：http://download.csdn.net/source/196884 今天刚注册了CSDN用户，前面在这里学到了很多东西，一直也想自己写点什么，可注册了好多次居然不成功。呵，其它的题外话就不说了，我们今天要谈论的话题是“怎样让自己的程序进程不让别人强行关闭掉”。昨天公司让我写了一个软件，并且不能让别人结束这个程序的进程。前面看到我过一些相关的文章，有创建一个线程不停检测进程名（通过枚举进程列表）的方法，但我觉得这种方法可能有些占资源。还有将自己进程提升为系统进程的，这种我也没有试过，如果谁有这种方法的实现代码给我一份将不甚感激，我今天用到是另外一种方法，拦截API函数，有两种方法： 2.在调用BOOL WINAPI TerminateProcess( 下面是钩子实现部分代码：
 // Defines
#pragma data_seg(".SHARED")
HHOOK glhHook
= NULL; //安装勾子句柄
#pragma data_seg()
#pragma comment( linker, "/section:shared,rws" )
HINSTANCE glhInstance
= NULL; //DLL实例句柄
BOOL APIENTRY DllMain( HANDLE hModule, DWORD ul_reason_for_call, LPVOID lpReserved )
{ glhInstance = (HINSTANCE)hModule; return TRUE; }
static LRESULT WINAPI ShellHookProc(int
code, WPARAM wParam, LPARAM lParam)
{ return ::CallNextHookEx(glhHook, code, wParam, lParam);}
extern "C"
__declspec(dllexport) BOOL StartHook(DWORD pid)
{ BOOL bResult=FALSE; if(!glhHook) { glhHook = SetWindowsHookEx(WH_SHELL,ShellHookProc,glhInstance, 0); if(glhHook!=NULL) { bResult=TRUE; } } return bResult; }
extern "C"
__declspec(dllexport) BOOL StopHook()
{ BOOL bResult=FALSE; if(glhHook) { bResult= UnhookWindowsHookEx(glhHook); if(bResult) { glhHook=NULL; } } return bResult;}
//...............................................................................................*/
typedef HANDLE (WINAPI *
PFNOPENPROCESS)(DWORD,BOOL,DWORD);extern
CAPIHook g_OpenProcess;// 自定义OpenProcess函数
HANDLE WINAPI Hook_OpenProcess(DWORD dwDesiredAccess,BOOL bInheritHandle,DWORD dwProcessId);//.............................................................................................../*
HANDLE WINAPI Hook_OpenProcess(DWORD dwDesiredAccess,BOOL bInheritHandle,DWORD dwProcessId)
{ if(dwDesiredAccess == PROCESS_TERMINATE && dwProcessId == dwProcessId == lpData->dwProcessId/*这个值是不让关闭进程的ID*/) { char sz[2048]; wsprintf(sz, "%d,%d,%d",dwDesiredAccess,dwProcessId,lpData->dwProcessId); MessageBox(NULL,sz,"d",MB_OK); return NULL; } return ((PFNOPENPROCESS)(PROC)g_OpenProcess)(dwDesiredAccess,bInheritHandle,dwProcessId);}
// 挂钩OpenProcess函数 刚才大家在查看上面代码时看到了lpData->dwProcessId这个参数，这就是我不让关闭的进程ID，那么这个值怎么得到呢。当然方法很多，可以通过窗口名获取窗口句柄 HWND hwnd = ::FindWindow(NULL,"你程序窗口名"
);DWORD hpid;//进程ID
GetWindowThreadProcessId( hwnd , &hpid );
typedef struct SHWP_STRUCT_
{ DWORD dwProcessId; char szModuleFileName[MAX_PATH];}
SHWP_STRUCT, *
LPSHWP_STRUCT;//全局变量定义
HANDLE hMapping;//内存映射名柄
LPSHWP_STRUCT lpData; //共享内存
int
APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int
nCmdShow)
{ //创建内存共享 hMapping=CreateFileMapping((HANDLE)0xFFFFFFFF,NULL,PAGE_READWRITE,0,0x100,"PCMONITOR."); if(hMapping != NULL) { lpData=(LPSHWP_STRUCT)MapViewOfFile(hMapping,FILE_MAP_ALL_ACCESS,0,0,0); } lpData->dwProcessId = ::GetCurrentProcessId(); //当前进程ID ...............................其它代码 ｝
DLL里面的内存映射部分代码
//全局变量定义
HANDLE hMapping;//内存映射名柄
LPSHWP_STRUCT lpData; //
共享内存//........................................................................../*
BOOL APIENTRY DllMain( HANDLE hModule, DWORD ul_reason_for_call, LPVOID lpReserved )
{ //创建内存共享 hMapping=CreateFileMapping((HANDLE)0xFFFFFFFF,NULL,PAGE_READWRITE,0,0x100,"PCMONITOR."); if(hMapping != NULL) { lpData=(LPSHWP_STRUCT)MapViewOfFile(hMapping,FILE_MAP_ALL_ACCESS,0,0,0); } return TRUE;}
这样我们的进程在运行时它的进程ID通过lpData->dwProcessId = ::GetCurrentProcessId(); 得到并以内存映射的方式传给DLL文件。 拦截TerminateProcess函数部分代码：
//...............................................................................................*/
typedef BOOL (WINAPI *
PFNTERMINATEPROCESS)(HANDLE, UINT);extern
CAPIHook g_TerminateProcess;BOOL WINAPI Hook_TerminateProcess(HANDLE hProcess, UINT uExitCode);//
自定义TerminateProcess函数//
.............................................................................................../*// 自定义TerminateProcess函数
BOOL WINAPI Hook_TerminateProcess(HANDLE hProcess, UINT uExitCode)
{ // 取得主模块的文件名称 char szPathName[MAX_PATH]; ::GetModuleFileName(NULL, szPathName, MAX_PATH); // 构建发送给主窗口的字符串 char sz[2048]; wsprintf(sz, " 进程：（%d）%s 进程句柄：%X 退出代码：%d (%x)",::GetCurrentProcessId(), szPathName, hProcess, uExitCode,lpData->dwProcessId); MessageBox(NULL,sz,"d",MB_OK); return ((PFNTERMINATEPROCESS)(PROC)g_TerminateProcess)(hProcess, uExitCode);}
// 挂钩TerminateProcess函数
CAPIHook g_TerminateProcess("kernel32.dll", "TerminateProcess"
,(PROC)Hook_TerminateProcess,TRUE);
在VC++ 6.0下应用Win32系统钩子技术 收藏
在VC++ 6.0下应用Win32系统钩子技术
来源:http://www.teihao.com/html/doc/VC/20071226/3517.html
作者:AD 一、引言
四、全局共享数据的实现
bResult= UnhookWindowsHookEx(glhHook);
本篇文章来源于 忒好程序员|www.teihao.com 原文链接：http://www.teihao.com/html/doc/VC/20071226/3517.html
Win32全局钩子实现 收藏Windows系统是建立在事件驱动的机制上的，说穿了就是整个系统都是通过消息的传递来实现的。而钩子是Windows系统中非常重要的系统接口，用它可以截获并处理送给其他应用程序的消息，来完成普通应用程序难以实现的功能。钩子的种类很多，每种钩子可以截获并处理相应的消息，如键盘钩子可以截获键盘消息，外壳钩子可以截取、启动和关闭应用程序的消息等。本文在VC5编程环境下实现了一个简单的鼠标钩子程序，并对Win32全局钩子的运行机制、Win32 DLL的特点、VC5环境下的MFC DLL以及共享数据等相关知识进行了简单的阐述。 一．Win32全局钩子的运行机制 钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。对每种类型的钩子由系统来维护一个钩子链，最近安装的钩子放在链的开始，而最先安装的钩子放在最后，也就是后加入的先获得控制权。要实现Win32的系统钩子，必须调用SDK中的API函数SetWindowsHookEx来安装这个钩子函数，这个函数的原型是HHOOK SetWindowsHookEx(int idHook,HOOKPROC lpfn,HINSTANCE hMod,DWORD dwThreadId);，其中，第一个参数是钩子的类型；第二个参数是钩子函数的地址；第三个参数是包含钩子函数的模块句柄；第四个参数指定监视的线程。如果指定确定的线程，即为线程专用钩子；如果指定为空，即为全局钩子。其中，全局钩子函数必须包含在DLL（动态链接库）中，而线程专用钩子还可以包含在可执行文件中。得到控制权的钩子函数在完成对消息的处理后，如果想要该消息继续传递，那么它必须调用另外一个SDK中的API函数CallNextHookEx来传递它。钩子函数也可以通过直接返回TRUE来丢弃该消息，并阻止该消息的传递。 二．Win32 DLL的特点 Win32 DLL与 Win16 DLL有很大的区别，这主要是由操作系统的设计思想决定的。一方面，在Win16 DLL中程序入口点函数和出口点函数（LibMain和WEP）是分别实现的；而在Win32 DLL中却由同一函数DLLMain来实现。无论何时，当一个进程或线程载入和卸载DLL时，都要调用该函数，它的原型是BOOL WINAPI DllMain(HINSTANCE hinstDLL,DWORD fdwReason, LPVOID lpvReserved);，其中，第一个参数表示DLL的实例句柄；第三个参数系统保留；这里主要介绍一下第二个参数，它有四个可能的值：DLL_PROCESS_ATTACH（进程载入），DLL_THREAD_ATTACH（线程载入），DLL_THREAD_DETACH（线程卸载），DLL_PROCESS_DETACH（进程卸载），在DLLMain函数中可以对传递进来的这个参数的值进行判别，并根据不同的参数值对DLL进行必要的初始化或清理工作。举个例子来说，当有一个进程载入一个DLL时，系统分派给DLL的第二个参数为DLL_PROCESS_ATTACH，这时，你可以根据这个参数初始化特定的数据。另一方面，在Win16环境下，所有应用程序都在同一地址空间；而在Win32环境下，所有应用程序都有自己的私有空间，每个进程的空间都是相互独立的，这减少了应用程序间的相互影响，但同时也增加了编程的难度。大家知道，在Win16环境中，DLL的全局数据对每个载入它的进程来说都是相同的；而在Win32环境中，情况却发生了变化，当进程在载入DLL时，系统自动把DLL地址映射到该进程的私有空间，而且也复制该DLL的全局数据的一份拷贝到该进程空间，也就是说每个进程所拥有的相同的DLL的全局数据其值却并不一定是相同的。因此，在Win32环境下要想在多个进程中共享数据，就必须进行必要的设置。亦即把这些需要共享的数据分离出来，放置在一个独立的数据段里，并把该段的属性设置为共享。 三．VC5中MFC DLL的分类及特点 在VC5中有三种形式的MFC DLL（在该DLL中可以使用和继承已有的MFC类)可供选择，即Regular statically linked to MFC DLL（标准静态链接MFC DLL）和Regular using the shared MFC DLL（标准动态链接MFC DLL）以及Extension MFC DLL（扩展MFC DLL）。第一种DLL的特点是，在编译时把使用的MFC代码加入到DLL中，因此，在使用该程序时不需要其他MFC动态链接类库的存在，但占用磁盘空间比较大；第二种DLL的特点是，在运行时，动态链接到MFC类库，因此减少了空间的占用，但是在运行时却依赖于MFC动态链接类库；这两种DLL既可以被MFC程序使用也可以被Win32程序使用。第三种DLL的特点类似于第二种，做为MFC类库的扩展，只能被MFC程序使用。 四．在VC5中全局共享数据的实现 在主文件中，用#pragma data_seg建立一个新的数据段并定义共享数据，其具体格式为： #pragma data_seg （"shareddata") HWND sharedwnd=NULL;//共享数据 #pragma data_seg() 仅定义一个数据段还不能达到共享数据的目的，还要告诉编译器该段的属性，有两种方法可以实现该目的（其效果是相同的），一种方法是在.DEF文件中加入如下语句： SETCTIONS shareddata READ WRITE SHARED 另一种方法是在项目设置链接选项中加入如下语句： /SECTION:shareddata,rws 五．具体实现步骤 由于全局钩子函数必须包含在动态链接库中，所以本例由两个程序体来实现。 1．建立钩子Mousehook.DLL (1)选择MFC AppWizard(DLL)创建项目Mousehook； (2)选择MFC Extension DLL（共享MFC拷贝）类型； (3)由于VC5没有现成的钩子类，所以要在项目目录中创建Mousehook.h文件，在其中建立钩子类： class AFX_EXT_CLASS Cmousehook:public CObject { public: Cmousehook(); //钩子类的构造函数 ~Cmousehook(); //钩子类的析构函数 BOOL starthook(HWND hWnd); //安装钩子函数 BOOL stophook(); 卸载钩子函数 }; (4)在Mousehook.app文件的顶部加入#include"Mousehook.h"语句； (5)加入全局共享数据变量： #pragma data_seg("mydata") HWND glhPrevTarWnd=NULL; //上次鼠标所指的窗口句柄 HWND glhDisplayWnd=NULL; //显示目标窗口标题编辑框的句柄 HHOOK glhHook=NULL; //安装的鼠标勾子句柄 HINSTANCE glhInstance=NULL; //DLL实例句柄 #pragma data_seg() (6)在DEF文件中定义段属性： SECTIONS mydata READ WRITE SHARED (7)在主文件Mousehook.cpp的DllMain函数中加入保存DLL实例句柄的语句： DllMain(HINSTANCE hInstance, DWORD dwReason, LPVOID lpReserved) { //如果使用lpReserved参数则删除下面这行 UNREFERENCED_PARAMETER(lpReserved); if (dwReason == DLL_PROCESS_ATTACH) { TRACE0("MOUSEHOOK.DLL Initializing!/n"); //扩展DLL仅初始化一次 if (!AfxInitExtensionModule(MousehookDLL, hInstance)) return 0; new CDynLinkLibrary(MousehookDLL); //把DLL加入动态MFC类库中 glhInstance=hInstance; //插入保存DLL实例句柄 } else if (dwReason == DLL_PROCESS_DETACH) { TRACE0("MOUSEHOOK.DLL Terminating!/n"); //终止这个链接库前调用它 AfxTermExtensionModule(MousehookDLL); } return 1; } (8)类Cmousehook的成员函数的具体实现： Cmousehook::Cmousehook() //类构造函数 { } Cmousehook::~Cmousehook() //类析构函数 { stophook(); } BOOL Cmousehook::starthook(HWND hWnd) //安装钩子并设定接收显示窗口句柄 { BOOL bResult=FALSE; glhHook=SetWindowsHookEx(WH_MOUSE,MouseProc,glhInstance,0); if(glhHook!=NULL) bResult=TRUE; glhDisplayWnd=hWnd; //设置显示目标窗口标题编辑框的句柄 return bResult; } BOOL Cmousehook::stophook() //卸载钩子 { BOOL bResult=FALSE; if(glhHook) { bResult= UnhookWindowsHookEx(glhHook); if(bResult) { glhPrevTarWnd=NULL; glhDisplayWnd=NULL;//清变量 glhHook=NULL; } } return bResult; } (9)钩子函数的实现： LRESULT WINAPI MouseProc(int nCode,WPARAM wparam,LPARAM lparam) { LPMOUSEHOOKSTRUCT pMouseHook=(MOUSEHOOKSTRUCT FAR *) lparam; if (nCode>=0) { HWND glhTargetWnd=pMouseHook->hwnd; //取目标窗口句柄 HWND ParentWnd=glhTargetWnd; while (ParentWnd !=NULL) { glhTargetWnd=ParentWnd; ParentWnd=GetParent(glhTargetWnd); //取应用程序主窗口句柄 } if(glhTargetWnd!=glhPrevTarWnd) { char szCaption[100]; GetWindowText(glhTargetWnd,szCaption,100); //取目标窗口标题 if(IsWindow(glhDisplayWnd)) SendMessage(glhDisplayWnd,WM_SETTEXT,0,(LPARAM)(LPCTSTR)szCaption); glhPrevTarWnd=glhTargetWnd; //保存目标窗口 } } return CallNextHookEx(glhHook,nCode,wparam,lparam); //继续传递消息 } (10)编译项目生成mousehook.dll。 2．创建钩子可执行程序 (1)用MFC的AppWizard(EXE)创建项目Mouse； (2)选择“基于对话应用”并按下“完成”键； (3)编辑对话框，删除其中原有的两个按钮，加入静态文本框和编辑框，用鼠标右键点击静态文本框，在弹出的菜单中选择“属性”，设置其标题为“鼠标所在的窗口标题”； (4)在Mouse.h中加入对Mousehook.h的包含语句#Include"../Mousehook/Mousehook.h"； (5)在CMouseDlg.h的CMouseDlg类定义中添加私有数据成员： CMouseHook m_hook;//加入钩子类作为数据成员 (6)修改CmouseDlg::OnInitDialog()函数： BOOL CMouseDlg::OnInitDialog() { CDialog::OnInitDialog(); ASSERT((IDM_ABOUTBOX & 0xFFF0) == IDM_ABOUTBOX); ASSERT(IDM_ABOUTBOX <0xF000); CMenu* pSysMenu = GetSystemMenu(FALSE); if (pSysMenu != NULL) { CString strAboutMenu; strAboutMenu.LoadString(IDS_ABOUTBOX); if (!strAboutMenu.IsEmpty()) { pSysMenu->AppendMenu(MF_SEPARATOR); pSysMenu->AppendMenu(MF_STRING, IDM_ABOUTBOX, strAboutMenu); } } SetIcon(m_hIcon, TRUE);//Set big icon SetIcon(m_hIcon, FALSE);//Set small icon //TODO: Add extra initialization here CWnd * pwnd=GetDlgItem(IDC_EDIT1); //取得编辑框的类指针 m_hook.starthook(pwnd->GetSafeHwnd()); //取得编辑框的窗口句柄并安装钩子 return TRUE; //return TRUE unless you set the focus to a control } (7)链接DLL库，即把../Mousehook/debug/Mousehook.lib加入到项目设置链接标签中； (8)编译项目生成可执行文件； (9)把Mousehook.DLL拷贝到../mouse/debug目录中； (10)先运行几个可执行程序，然后运行Mouse.exe程序，把鼠标在不同窗口中移动，在Mouse.exe程序窗口中的编辑框内将显示出鼠标所在的应用程序主窗口的标题。pcc （作者地址：辽宁省铁岭县委机要局 112000 ）
HOOK钩子 （转载） 收藏HOOK钩子转载自 http://www.cnblogs.com/starspace/archive/2008/11/06/1328390.html
目录
基本概念
钩子(Hook)，是Windows消息处理机制的一个平台,应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口处理函数之前处理它。钩子机制允许应用程序截获处理window消息或特定事件。
钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控
制权。这时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。
运行机制
1、钩子链表和钩子子程：
每一个Hook都有一个与之相关联的指针列表，称之为钩子链表，由系统来维护。这个列表的指针指向指定的，应用程序定义的，被Hook子程调用的回调函数，也就是该钩子的各个处理子程。当与指定的Hook类型关联的消息发生时，系统就把这个消息传递到Hook子程。一些Hook子程可以只监视消息，或者修改消息，或者停止消息的前进，避免这些消息传递到下一个Hook子程或者目的窗口。最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加入的先获得控制权。
Windows 并不要求钩子子程的卸载顺序一定得和安装顺序相反。每当有一个钩子被卸载，Windows 便释放其占用的内存，并更新整个Hook链表。如果程序安装了钩子，但是在尚未卸载钩子之前就结束了，那么系统会自动为它做卸载钩子的操作。
钩子子程是一个应用程序定义的回调函数(CALLBACK Function),不能定义成某个类的成员函数，只能定义为普通的C函数。用以监视系统或某一特定类型的事件，这些事件可以是与某一特定线程关联的，也可以是系统中所有线程的事件。
钩子子程必须按照以下的语法：
LRESULT CALLBACK HookProc ( int nCode, WPARAM wParam, LPARAM lParam );
HookProc是应用程序定义的名字。
nCode参数是Hook代码，Hook子程使用这个参数来确定任务。这个参数的值依赖于Hook类型，每一种Hook都有自己的Hook代码特征字符集。
wParam和lParam参数的值依赖于Hook代码，但是它们的典型值是包含了关于发送或者接收消息的信息。
2、钩子的安装与释放：
使用API函数SetWindowsHookEx()把一个应用程序定义的钩子子程安装到钩子链表中。SetWindowsHookEx函数总是在Hook链的开头安装Hook子程。当指定类型的Hook监视的事件发生时，系统就调用与这个Hook关联的Hook链的开头的Hook子程。每一个Hook链中的Hook子程都决定是否把这个事件传递到下一个Hook子程。Hook子程传递事件到下一个Hook子程需要调用CallNextHookEx函数。
HHOOK SetWindowsHookEx( int idHook, // 钩子的类型，即它处理的消息类型 HOOKPROC lpfn, // 钩子子程的地址指针。如果dwThreadId参数为0 // 或是一个由别的进程创建的线程的标识， // lpfn必须指向DLL中的钩子子程。 // 除此以外，lpfn可以指向当前进程的一段钩子子程代码。 // 钩子函数的入口地址，当钩子钩到任何消息后便调用这个函数。 HINSTANCE hMod, // 应用程序实例的句柄。标识包含lpfn所指的子程的 DLL。 // 如果dwThreadId 标识当前进程创建的一个线程， // 而且子程代码位于当前进程，hMod必须为NULL。 // 可以很简单的设定其为本应用程序的实例句柄。 DWORD dwThreadId // 与安装的钩子子程相关联的线程的标识符。 // 如果为0，钩子子程与所有的线程关联，即为全局钩子。 );
函数成功则返回钩子子程的句柄，失败返回NULL。
以上所说的钩子子程与线程相关联是指在一钩子链表中发给该线程的消息同时发送给钩子子程，且被钩子子程先处理。
在钩子子程中调用得到控制权的钩子函数在完成对消息的处理后，如果想要该消息继续传递，那么它必须调用另外一个SDK中的API函数CallNextHookEx来传递它，以执行钩子链表所指的下一个钩子子程。这个函数成功时返回钩子链中下一个钩子过程的返回值，返回值的类型依赖于钩子的类型。这个函数的原型如下：
LRESULT CallNextHookEx ( HHOOK hhk; int nCode; WPARAM wParam; LPARAM lParam; );
hhk为当前钩子的句柄，由SetWindowsHookEx()函数返回。
NCode为传给钩子过程的事件代码。
wParam和lParam 分别是传给钩子子程的wParam值，其具体含义与钩子类型有关。
钩子函数也可以通过直接返回TRUE来丢弃该消息，并阻止该消息的传递。否则的话，其他安装了钩子的应用程序将不会接收到钩子的通知而且还有可能产生不正确的结果。
钩子在使用完之后需要用UnHookWindowsHookEx()卸载，否则会造成麻烦。释放钩子比较简单，UnHookWindowsHookEx()只有一个参数。函数原型如下：
UnHookWindowsHookEx ( HHOOK hhk; );
函数成功返回TRUE，否则返回FALSE。
3、一些运行机制：
在Win16环境中，DLL的全局数据对每个载入它的进程来说都是相同的；而在Win32环境中，情况却发生了变化，DLL函数中的代码所创建的任何对象（包括变量）都归调用它的线程或进程所有。当进程在载入DLL时，操作系统自动把DLL地址映射到该进程的私有空间，也就是进程的虚拟地址空间，而且也复制该DLL的全局数据的一份拷贝到该进程空间。也就是说每个进程所拥有的相同的DLL的全局数据，它们的名称相同，但其值却并不一定是相同的，而且是互不干涉的。
因此，在Win32环境下要想在多个进程中共享数据，就必须进行必要的设置。在访问同一个Dll的各进程之间共享存储器是通过存储器映射文件技术实现的。也可以把这些需要共享的数据分离出来，放置在一个独立的数据段里，并把该段的属性设置为共享。必须给这些变量赋初值，否则编译器会把没有赋初始值的变量放在一个叫未被初始化的数据段中。
#pragma data_seg预处理指令用于设置共享数据段。例如：
#pragma data_seg("SharedDataName")
HHOOK hHook=NULL;
#pragma data_seg()
在#pragma data_seg("SharedDataName")和#pragma data_seg()之间的所有变量将被访问该Dll的所有进程看到和共享。再加上一条指令#pragma comment(linker,"/section:.SharedDataName,rws"),那么这个数据节中的数据可以在所有DLL的实例之间共享。所有对这些数据的操作都针对同一个实例的，而不是在每个进程的地址空间中都有一份。
当进程隐式或显式调用一个动态库里的函数时，系统都要把这个动态库映射到这个进程的虚拟地址空间里(以下简称"地址空间")。这使得DLL成为进程的一部分，以这个进程的身份执行，使用这个进程的堆栈。
4、系统钩子与线程钩子：
SetWindowsHookEx()函数的最后一个参数决定了此钩子是系统钩子还是线程钩子。
线程勾子用于监视指定线程的事件消息。线程勾子一般在当前线程或者当前线程派生的线程内。
系统勾子监视系统中的所有线程的事件消息。因为系统勾子会影响系统中所有的应用程序，所以勾子函数必须放在独立的动态链接库(DLL) 中。系统自动将包含"钩子回调函数"的DLL映射到受钩子函数影响的所有进程的地址空间中，即将这个DLL注入了那些进程。
几点说明：
（1）如果对于同一事件（如鼠标消息）既安装了线程勾子又安装了系统勾子，那么系统会自动先调用线程勾子，然后调用系统勾子。
（2）对同一事件消息可安装多个勾子处理过程，这些勾子处理过程形成了勾子链。当前勾子处理结束后应把勾子信息传递给下一个勾子函数。
（3）勾子特别是系统勾子会消耗消息处理时间，降低系统性能。只有在必要的时候才安装勾子，在使用完毕后要及时卸载。
钩子类型
每一种类型的Hook可以使应用程序能够监视不同类型的系统消息处理机制。下面描述所有可以利用的Hook类型。
1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks
WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用WH_CALLWNDPROCRET Hook子程。
WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。
CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。
2、WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2. 完成系统指令；
3. 来自系统消息队列中的移动鼠标，键盘事件；
4. 设置输入焦点事件；
5. 同步系统消息队列事件。
Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。
3、WH_DEBUG Hook
在系统调用系统中与其他Hook关联的Hook子程之前，系统会调用WH_DEBUG Hook子程。你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook子程。
4、WH_FOREGROUNDIDLE Hook
当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就会调用WH_FOREGROUNDIDLE Hook子程。
5、WH_GETMESSAGE Hook
应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及其他发送到消息队列中的消息。
6、WH_JOURNALPLAYBACK Hook
WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘事件就是无效的。
WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。
WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实时事件的回放。
WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。
7、WH_JOURNALRECORD Hook
WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook来回放。
WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样使用。
WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。
8、WH_KEYBOARD Hook
在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。可以使用这个Hook来监视输入到消息队列中的键盘消息。
9、WH_KEYBOARD_LL Hook
WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。
10、WH_MOUSE Hook
WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个Hook监视输入到消息队列中的鼠标消息。
11、WH_MOUSE_LL Hook
WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。
12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。WH_SYSMSGFILTER Hook监视所有应用程序消息。
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。
通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循环里一样。
13、WH_SHELL Hook
外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层窗口建立或者销毁时，系统调用WH_SHELL Hook子程。
WH_SHELL 共有５钟情況：
1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；
2. 当Taskbar需要重画某个按钮；
3. 当系统需要显示关于Taskbar的一个程序的最小化形式；
4. 当目前的键盘布局状态改变；
5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。
按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自己。
|
扫一扫
7572
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
